入侵渗透 抓取内网windows登陆密码及查看密文相关问题

1. windows登录的明文密码，存储过程是怎么样的？ 密文存在哪个文件下？该文件是否可以打开，并且查看到密文？

        在Windows中，用户登录的密码不会以明文形式保存，会以加密形式存储。其默认使用NTLM或Kerberos认证协议进行加密存储密码。

        其密文存储在路径​​​C:\Windows\System32\config\SAM中的SAM，Windows系统中所有用户的hash值可以从SAM文件获得，如果是在域环境中，则存在域控制器的NTDS.dit文件中。这些文件由操作系统进行管理，正常情况下无法直接打开和查看。但是我们可以通过下载外部工具mimikatz通过hashdump模块来查看。

        想要查看到hash值或进一步获取明文密码，需要一定的技术手段。例如，可以使用mimikatz这类工具读取lsass.exe进程内存来获取已登录用户的NTLM hash。另外，也可以通过修改特定的注册表项，强制让系统在特定条件下暴露出明文密码。

        总得来说，虽然Windows系统中的密码是以密文形式存储的，但通过一些特殊的技术手段，仍然有可能获取到用户的明文密码。因此，对于系统安全而言，除了密码的加密存储外，还需要采取其他安全措施以保护用户账户的安全性。

2.通过hashdump 抓取出所有用户的密文，为什么分为两个模块？ 这两个模块分别都代表什么？

        通过hashdump抓取的所有用户密文分为两个模块，分别是LM hash和NT hash。

        这两个模块代表的是Windows操作系统中用于存储用户密码散列值的两种不同算法。第一个模块永远是一样的aad3b435b51404eeaad3b435b51404ee。

3.为什么第一个模块永远是一样的aad3？

        因为早期版本的Windows使用了一种名为LAN Manager Hash（LM Hash）的加密方法。由于LM Hash使用的DES加密算法安全性较低，较容易被破解，微软在新的Windows版本中默认禁用了LM Hash，但出于兼容性考虑，系统仍然会生成一个固定的LM Hash值。

4. 这两个模块的加密算法有什么不同，如何加密的？

         第一部分加密基于md4，过程是用户密码首先被转换为Unicode格式，然后使用Unicode Little-Endian编码进行哈希；

        第二部分是将用户密码和一些随机数来结合计算出的哈希值，更复杂更安全。

详解：

        LM Hash使用的是DES加密算法，DES 是一种对称加密算法，它使用一个 56 位的密钥来加密数据。在 LM 哈希中，用户的密码首先被转换为一个 16 字节的字符串，然后这个字符串被分成两个 8 字节的部分，每部分都使用 DES 算法进行加密。

        NT Hash则使用了更加安全的MD4或MD5算法。MD4 是一种密码哈希函数，它将任意长度的数据映射为固定长度的哈希值。在 NTLM 哈希中，用户的密码首先被转换为一个 Unicode 字符串，然后这个字符串被 MD4 算法处理生成一个 16 字节的哈希值。随着安全要求的提高，现代Windows系统倾向于使用更安全的NT Hash来存储用户密码的散列值。

        综上所述，通过hashdump抓取的用户密文分为LMhash和NThash两个模块，其中第一个模块的固定值是由于历史兼容性原因所致，而两个模块所使用的加密算法存在差异，体现在它们所依赖的加密技术上。